AI och straffrättsligt ansvar – några utgångspunkter
Inledning
Att användning av artificiell intelligens (”AI”) kommer ha stor betydelse inom många områden är ett påstående som få skulle säga emot. Med det följer att AI-teknik kommer att utföra uppgifter som historiskt har utförts av människor. Vi har i tidigare inlägg diskuterat det utomobligatoriska skadeståndsansvaret för AI och vem som skadeståndsrättsligt kan hållas ansvarig för skador orsakade av AI-teknik. I detta inlägg fokuserar vi istället på det straffrättsliga ansvaret. Vi diskuterar otillåtna gärningar och vem som kan hållas ansvarig när brott orsakas av AI-teknik. Frågor om brottets rekvisit för det personliga ansvaret, d.v.s. om uppsåt och vårdslöshet m.m., vilket också krävs för ansvar, lämnar vi därhän i detta inlägg. Detsamma gäller medverkansansvar och utökat gärningsmannaskap.
Mycket i detta blogginlägg blir spekulationer och antaganden, eftersom det inte finns någon svensk praxis om brott som begås av AI-teknik att utgå ifrån. Genomgången är översiktlig, och gör inte anspråk på att uttömmande diskutera AI och det straffrättsliga ansvaret. Däremot forskas det febrilt på området, och det finns många förslag på hur ansvarsproblemen skulle kunna lösas.
Om du vill ha en fördjupning om hur AI används idag, så hittar du det i vårt inlägg om AI och det utomobligatoriska ansvaret här. Du kan även läsa om vad AI är i vårt introduktionsinlägg om artificiell intelligens.
Om det straffrättsliga ansvaret
Brott är en gärning som enligt lag eller annan författning är belagd med straffen böter eller fängelse (1 kap. 1 § brottsbalken [”BrB”]). Många av de svenska brotten finns i Brottsbalken, men kan också förekomma i annan lag eller författning. Ett brott kan därmed inte skapas ”ad hoc”, utan gärningen måste ha varit straffbelagd enligt lag eller författning vid den tidpunkt då den straffbelagda gärningen begicks.
I Sverige kan endast fysiska personer dömas till straff för ett brott. Personen måste dessutom vara straffmyndig, d.v.s. 15 år eller äldre. För brott begångna i näringsverksamhet kan företaget eller den juridiska personen som sådan åläggas en företagsbot. Företagsboten anses inte utgöra ett straff i rättslig mening utan är istället en särskild rättsverkan av brott.
En gärning kan innebära såväl en aktiv handling som en underlåtenhet att göra något. De flesta brott är neutralt beskrivna i lagen eller författningen. De kan därmed begås både genom en aktiv handling och en underlåtenhet att handla, så länge den som ställs till svars för brottet uppfyller brottsbeskrivningen. I det sistnämnda fallet måste den som underlåter att göra något ha en skyldighet att agera, om inte brottet ifråga särskilt straffbelägger underlåtenhet. En sådan skyldighet att agera kallas inom straffrätten för garantställning. I Sverige finns ingen allmän civilkuragelag som tvingar vem som helst att ingripa i situationer som kan leda till skada, vilket innebär att det är bara de personer som befinner sig i garantställning som kan hållas ansvariga för sin underlåtenhet att agera. Detta hänger samman med att endast gärningar som inneburit otillåtna risktaganden kan medföra straff.
Garantställning kan uppkomma på flera sätt, men det vanligaste är att personen har en övervaknings- eller skyddsplikt. Hur personen ska agera om en risk för skada uppkommer beror på vad som är möjligt för personen att göra där och då. Exempelvis kan en förälder vars barn skadat sig och som inte tar barnet till sjukhus för vård dömas för misshandel (se underrätternas domar i målet NJA 2013 s. 588), eller den som har en civilrättslig skyldighet att skotta bort snö och is från ett hustak dömas för vållande till annans död, när skottningen uteblivit och ett isras får till följd att en gångtrafikant på trottoaren nedanför avled (se målet NJA 2005 s. 372).
Om AI och straffrättsligt ansvar
När ingen annan än fysiska personer kan dömas för ett brott, uppstår givetvis en rad frågor om vad som händer när AI-teknik används och orsakar skada. I teorin skulle även mer ”harmlös” AI-teknik kunna orsaka skador. En robotdammsugare kan exempelvis skada sin ägare genom att dammsuga upp ägarens hår när denne sover på golvet. Om en människa gör samma sak mot en person begår denne sannolikt någon form av misshandel.
Att starta eller använda själva AI-tekniken kommer inte alltid innebära att det finns någon som måste övervaka och ingripa om något går fel. Viss användning kommer sannolikt alltid vara tillåten, även om själva användningen medför vissa risker. Det blir i sådana fall en fråga om bedömning om vad som varit möjligt att göra eller inte göra i det enskilda fallet.
Det finns heller ingen särskild ”AI-lag” eller annan reglering som hanterar vem som är ansvarig när AI-teknik begår brott. Det innebär att vi måste falla tillbaka på de allmänna straffrättsliga principerna för att identifiera en gärningsperson. Den stora frågan är: Vem ansvarar?
Vilka aktörer kan hållas ansvariga för AI-teknikens brott?
Beroende på typ av AI-teknik finns en rad personer skulle kunna tänkas bli ansvariga. Vem som helst kan inte bli ansvarig. Vi måste därför hitta en aktör som på ett eller annat sätt har inflytande över AI-teknikens agerande. Vem den personen är kommer givetvis bero på typ av brott i det enskilda fallet. Det kan tänkas att flera personer kan bli ansvariga för sina respektive gärningar som bidragit till att orsaka samma skada. Dessutom kommer den person som ska hållas ansvarig i de allra flesta fall behöva straffas för sin underlåtenhet, d.v.s. att personen befann sig i en garantställning och borde ha handlat på ett visst sätt men avstod att göra det vilket hade till följd att brottet fullbordades.
Användaren
Det går att snabbt identifiera en rad olika aktörer som skulle kunna bli straffrättsligt ansvariga när något går fel. Närmast till hands ligger förstås den som använder AI-tekniken. Sannolikt är det användaren som i de flesta situationer har möjlighet att ingripa, men det är inte alltid självklart. Dessutom kommer användarens ansvar att styras av en rad olika aspekter – personens kunskap och insikt om tekniken, typ av användning, möjligheten att ingripa, information om risker med användning från tillverkaren, typ av AI-teknik, typ av situation och liknande.
Övervakaren
Vid sidan av användaren kan det finnas en övervakare, som övervakar AI-teknikens självständiga agerande. Personer som övervakar något riskfyllt anses i regel befinna sig i en garantställning och ska utifrån sin förmåga agera för att undvika risker och skador. Möjligheten att ingripa kommer precis som i användarens fall också att styras eller begränsas av AI-teknikens typ och användning. Övervakaren kan till exempel vara en kirurg som övervakar en operationsrobot eller en person som övervakar drönare som levererar paket självständigt.
Tillverkaren och programmeraren
Vissa fel eller oönskade effekter kan bero på fel i produktionen, såsom felaktig hård- eller mjukvara, vilken tillverkaren istället torde ansvara för. Hos tillverkaren finns sannolikt programmerare, vilka också skulle kunna bli ansvariga för AI-teknikens brott, när detta beror på exempelvis felaktig eller farlig kod m.m. Tillverkaren och programmeraren har dessutom kännedom om AI-teknikens beslutsfattande, och har möjlighet informera andra (användare, ägare m.fl.) vad AI-tekniken kan eller inte kan göra. I tillverkarens eller programmerarens fall kommer det för ansvar för AI-teknikens brott sannolikt att krävas att de borde ha förutsett något i tillverkningen, t.ex. en säkerhetsbrist som tillverkaren ansvarar för eller AI-teknikens funktionalitet i en viss situation borde ha testats, men där detta inte gjorts.
Säljaren
Om en säljare ska bli aktuell för ansvar för AI-teknikens brott bör den AI-teknik som säljs vara mycket riskfylld eller farlig på något sätt. I det färska s.k. Fentanylmålet (HD mål nr 2552-19) där en man dömdes för grovt vållande till annans död till fyra års fängelse, då mannen via ett företag sålt fentanylanaloger i form av nässpray vilka åtta personer dog av efter användning. I det fallet ansågs själva försäljningen av preparaten ha innefattat ett otillåtet risktagande, bl.a. då preparatet var svårt att dosera, såldes till personer i en utsatt ställning m.m. På motsvarande sätt skulle en försäljning av mycket riskfylld eller farlig AI-teknik kunna innefatta ett otillåtet risktagande när samtliga omständigheter vägs in, även om den eller de som skadas använt AI-tekniken frivilligt.
Ägaren
Det skulle också kunna vara tänkbart att ägaren blir ansvarig i vissa fall. Om ägaren inte är samma person som användaren, behövs dock något som skapar en övervakningsplikt även när ägaren själv inte använder AI-tekniken, exempelvis ett strikt skadeståndsansvar eller någon form av lagstadgad övervakningsplikt. Ett exempel är det ansvar som hundägare har för skador som deras hundar orsakar. Det faktum att det föreligger ett strikt skadeståndsansvar, har i vissa fall ansetts skapa en övervakningsplikt som i sin tur innebär en möjlighet till straffrättsligt ansvar om skadan som hunden orsakat utgör ett brott och hundägaren hade haft möjlighet att avvärja eller undvika skadan. Exempelvis har en hundägare vars hund bitit en förbipasserande människa dömts för vållande till kroppsskada. Det finns ingen liknande övervakningsplikt för AI-teknik idag, men vissa forskare på området har förespråkat sådana regleringar. Det är mycket möjligt att vissa former av AI i framtiden kan omfattas av någon form av strikt skadeståndsansvar för ägaren.
Utomstående personer
Det finns också möjlighet att utomstående personer kan influera AI-tekniken och därmed påverka agerandet. Det kan röra sig om allt från hackare som ändrar AI-teknikens källkod till personer som klottrat på en vägskylt, vilket medför att den självkörande bilens sensorer inte uppfattar vägskyltens innebörd. Dessa utomstående personer skulle också kunna tänkas bli ansvariga, och det de gjort leder till att AI-tekniken orsakar skada. I sådana fall handlar det troligtvis om att de blir ansvariga för sina aktiva handlingar som påverkar AI-tekniken, och inte för att de underlåtit att göra något.
Några funderingar – är gärningarna straffbara?
De identifierade aktörerna måste givetvis också ha gjort något som är straffbart. I de allra flesta fall kommer det att kräva att personen i fråga befunnit sig i en garantställning, d.v.s. haft en skyldighet att ingripa i eller försöka hejda brottet men underlåtit att göra det. För användaren kan det vara att ingripa eller avbryta händelseförloppet i form av att ge nytt kommando till AI-tekniken eller stänga av den, medan det för tillverkaren kan röra sig om att återkalla defekt AI-teknik och informera användarna om säkerhetsbrister eller problem.
I vissa fall kan det finnas en civilrättslig övervakningsplikt att övervaka AI-tekniken, vilket skulle kunna skapa den garantställning som krävs för att någon ska kunna straffas. Ett sådant exempel framgår av 8 kap. 23 § i lag (2007:528) om värdepappersmarknaden, där ett värdepappersinstitut som tillämpar algoritmisk handel med värdepapper är skyldig att ha effektiva system och riskkontroller för den algoritmiska handeln. Detta innefattar bl.a. att ha handelslimiter och förhindra att den algoritmiska handeln lägger felaktiga order eller bidrar till en oordnad marknad. Om ett värdepappersinstitut underlåter att uppfylla dessa krav och dess algoritmiska handel begår brottet marknadsmanipulation som en följd av detta, kommer det troligtvis bli fråga för domstolen om någon representant på värdepappersinstitutet borde ha ingripit och avvärjt händelseförloppet (d.v.s. att denne befunnit sig i en garantställning och borde ha agerat).
Med ökad autonomi hos AI-tekniken sjunker antalet personer som kan påverka AI-teknikens beslut, och därmed också antalet potentiellt straffbara personer. I många fall finns det en risk att skadan redan är skedd innan personen som kan ingripa har hunnit reagera, eftersom AI-tekniken har möjlighet att fatta beslut och agera på någon tusendels sekund. Då blir det istället en fråga om personen borde ha gjort något dessförinnan för att förebygga skadan, och om underlåtenheten att göra det är straffbart (d.v.s. innefattat ett otillåtet risktagande av något slag). AI-teknikens handlande och dess konsekvenser måste då ha varit möjligt att förutsäga eller räkna ut för den som ska hållas ansvarig. Det ställer mycket höga krav på transparens i AI-teknikens beslutsfattande.
Detta skulle kunna innebära att många aktörer utesluts helt från ansvar eller försöker att värja sig från ansvar när AI-tekniken blir mer och mer autonom. I vissa fall är det sannolikt omöjligt för någon (ägare, tillverkare, programmerare, säljare m.fl.) att räkna ut hur AI-tekniken kommer att agera i en viss situation eller hur AI-tekniken kommer fram till ett visst beslut, när vi inte heller vet vilka data AI-teknik som exempelvis tillämpar metoder för maskininlärning tränat på. Detta blir särskilt svårt när AI-tekniken har släppts ut på marknaden med självlärande algoritmer som uppdateras baserat på hur användaren använder AI-tekniken. Det finns redan i dag exempel på AI-teknik som agerat på ett sätt som ingen människa förutspådde.
Bristande transparens och förutsägbarhet är dessutom sådant som kan medföra att det blir svårt att överhuvudtaget hålla någon ansvarig för AI-teknikens brott. När det inte går att visa hur AI-tekniken kommit fram till ett visst beslut eller annars förklara varför den har agerat på ett visst sätt, blir det givetvis mycket svårt att någon ansvarig överhuvudtaget. Det kan därmed vara så att ansvar för AI-teknikens brott är uteslutet redan på den grunden att ingen person kan visas ha gjort en otillåten gärning.
Avslutande kommentar
Vår översiktliga genomgång visar att det finns ett antal potentiellt ansvariga för brott som AI-teknik begår. I takt med ökad autonomi kommer möjligheterna till att straffa någon sannolikt begränsas. Dessutom krävs i många fall uppsåt hos den som straffas, vilket blir ytterligare ett steg ”att övervinna” i jakten på att hitta någon ansvarig. Med minskad förutsägbarhet minskar också chansen att någon förstod vad som var på väg att inträffa. På samma gång minskar chansen för någon att avvärja ett händelseförlopp som kan orsaka skada. Det finns därmed en risk för ett straffrättsligt vakuum, där ett brott begås men ingen kan hållas ansvarig för det.